Qu’est-ce que WHM (Web Host Manager) et comment y accéder

WHM (Web Host Manager) est un panneau de contrôle administratif au niveau serveur développé par cPanel, LLC, qui fonctionne sur des serveurs web basés sur Linux. Il fournit un accès de niveau root et revendeur pour gérer plusieurs comptes cPanel, configurer les paramètres à l’échelle du serveur, contrôler les politiques de sécurité et administrer les services principaux tels qu’Apache, MySQL et DNS — le tout via une interface basée sur navigateur. WHM fonctionne sur le port 2087 (HTTPS) et est le pendant backend de cPanel, qui sert d’interface utilisateur final.

Si vous exploitez un environnement d’hébergement géré, une activité d’hébergement revendeur, ou un Hébergement VPS ou un Serveur Dédié auto-administré avec cPanel/WHM installé, comprendre l’architecture et les méthodes d’accès de WHM est indispensable pour maintenir la disponibilité, la sécurité et l’efficacité opérationnelle.

WHM vs. cPanel : Comprendre la relation architecturale

Une source de confusion fréquente est de traiter WHM et cPanel comme interchangeables. Ils ne le sont pas. Ils occupent des couches distinctes du même ensemble logiciel.

WHM est le plan administratif. cPanel est le plan de données pour les comptes individuels. Chaque compte cPanel est créé, configuré et géré par WHM. Si WHM est indisponible, les comptes cPanel continuent de servir le trafic, mais aucune modification administrative ne peut être effectuée au niveau du serveur.

Capacités techniques principales de WHM

Gestion des comptes et des forfaits

WHM utilise un concept appelé forfaits d’hébergement (également appelés plans ou listes de fonctionnalités) pour définir les allocations de ressources — quotas de disque, limites de bande passante, plafonds de comptes email, limites de bases de données et sous-domaines — qui sont appliquées uniformément aux comptes cPanel. Cette abstraction permet aux administrateurs de gérer des centaines de comptes sans configurer chacun individuellement.

Les opérations clés comprennent :

• Création de comptes cPanel avec des forfaits prédéfinis ou des limites de ressources personnalisées
• Suspension et réactivation de comptes sans perte de données, ce qui est essentiel pour l’application des règles de facturation
• Résiliation de comptes avec conservation optionnelle des données
• Modification des limites de compte à la volée sans recréation de compte
• Transfert de comptes entre serveurs à l’aide de l’outil de transfert intégré de WHM, qui gère DNS, email, bases de données et structures de fichiers de manière atomique

Une capacité souvent négligée : le Répertoire Squelette de WHM (`/root/cpanel3-skel/`) permet aux administrateurs de pré-remplir chaque nouveau compte cPanel avec des fichiers par défaut, des structures de répertoires ou des modèles de configuration — utile pour les agences déployant des environnements WordPress ou d’application standardisés à grande échelle.

Architecture des comptes revendeurs

WHM prend en charge un modèle de privilèges à trois niveaux : administrateur root, revendeurs et utilisateurs finaux. Les revendeurs reçoivent un sous-ensemble des capacités de WHM limité aux comptes qu’ils possèdent. Ils peuvent créer et gérer leurs propres comptes cPanel, définir des limites de ressources dans leur propre allocation et personnaliser l’interface cPanel — mais ils ne peuvent pas accéder aux comptes des autres revendeurs ni les affecter, ni modifier les configurations au niveau du serveur.

Cette architecture est le fondement du modèle commercial d’hébergement revendeur et est directement pertinente si vous exploitez un VPS avec cPanel pour offrir des services d’hébergement à des clients en aval.

Nuance importante : les revendeurs n’obtiennent pas l’accès SSH root. Leur accès WHM est limité aux permissions ACL (Liste de contrôle d’accès) accordées par l’administrateur root. La mauvaise configuration des ACL est une erreur de sécurité courante — accorder aux revendeurs plus de privilèges que prévu, notamment la capacité de modifier DNS globalement ou d’accéder à la configuration du serveur.

Administration du serveur et gestion des services

WHM fournit un contrôle direct sur les services principaux qui sous-tendent chaque site web hébergé :

• Configuration Apache/LiteSpeed — modifier les directives globales, gérer les modèles d’hôtes virtuels, configurer les gestionnaires PHP (suPHP, FastCGI, PHP-FPM) et changer les versions PHP par compte à l’aide du Gestionnaire MultiPHP
• Administration MySQL/MariaDB — gérer les paramètres globaux de base de données, effectuer des mises à niveau MySQL et surveiller la charge des requêtes
• Gestion des clusters DNS — configurer WHM pour participer à un cluster DNS, synchronisant les fichiers de zone sur plusieurs serveurs de noms pour la redondance
• Configuration du serveur de messagerie Exim — gérer les paramètres de relais SMTP, les seuils de spam, les listes RBL et les files d’attente de livraison
• Surveillance des services — le Gestionnaire de services de WHM permet d’activer, désactiver et surveiller les démons, avec des politiques de redémarrage automatique

Un détail qui surprend de nombreux administrateurs : EasyApache 4 (EA4) de WHM est l’outil de compilation et de configuration d’Apache et PHP. Le changement de versions PHP ou l’ajout d’extensions (comme `imagick`, `redis` ou `memcached`) se fait via les profils EA4, et non via le gestionnaire de paquets du système d’exploitation. Tenter d’installer des extensions PHP via `yum` ou `apt` sans tenir compte d’EA4 peut casser la configuration du gestionnaire PHP de cPanel.

Centre de sécurité

Le Centre de sécurité de WHM regroupe plusieurs contrôles de renforcement essentiels :

• Protection contre la force brute cPHulk — limite le taux de tentatives de connexion échouées à WHM et cPanel, avec des seuils de verrouillage configurables et une liste blanche d’IP
• Intégration CSF (ConfigServer Security & Firewall) — bien que CSF soit un plugin tiers, il s’intègre profondément dans l’interface de WHM et constitue la solution de pare-feu de facto pour les serveurs cPanel
• Authentification à deux facteurs (2FA) — WHM prend en charge la 2FA basée sur TOTP pour les connexions root et revendeur, ce qui doit être considéré comme obligatoire, et non optionnel
• Gestionnaire SSL/TLS — installer, gérer et renouveler automatiquement les certificats SSL à l’échelle du serveur, y compris la prise en charge de Let’s Encrypt via AutoSSL
• Ajustement de l’autorisation par mot de passe SSH — désactiver l’authentification SSH par mot de passe depuis WHM sans modifier manuellement `sshd_config`
• Contrôle d’accès au compilateur — restreindre l’accès aux compilateurs (gcc, cc) pour prévenir l’escalade de privilèges via des exploits compilés localement

Si vous gérez des Certificats SSL sur plusieurs domaines, la fonctionnalité AutoSSL de WHM peut automatiser l’émission et le renouvellement des certificats Let’s Encrypt pour chaque compte cPanel sur le serveur, éliminant entièrement la gestion manuelle des certificats.

Architecture de sauvegarde et de restauration

Le système de sauvegarde de WHM fonctionne à deux niveaux :

1. Configuration de sauvegarde WHM (niveau root) — définit les planifications de sauvegarde globales, les politiques de rétention, les paramètres de compression et les destinations de transport distant (FTP, SFTP, stockage compatible S3, scripts personnalisés via des plugins de transport de sauvegarde)
2. Restauration par compte — permet de restaurer des comptes cPanel individuels à partir d’une sauvegarde complète du serveur sans restaurer l’intégralité du serveur, ce qui est essentiel pour minimiser le rayon d’impact lors d’événements de perte de données au niveau du compte

Une erreur architecturale courante : se fier uniquement au système de sauvegarde intégré de WHM sans vérifier que les sauvegardes sont transportées hors du serveur. Les sauvegardes sur serveur n’offrent aucune protection contre les défaillances de disque, les ransomwares ou la perte catastrophique du serveur. Configurez toujours une destination de sauvegarde distante.

Gestion DNS

WHM gère le DNS au niveau du serveur en utilisant BIND (named) ou PowerDNS comme résolveur sous-jacent. Les administrateurs peuvent :

• Créer, modifier et supprimer des zones DNS pour tous les domaines sur le serveur
• Configurer le clustering DNS pour répliquer automatiquement les zones vers des serveurs de noms secondaires
• Gérer les enregistrements SPF, DKIM et DMARC pour la délivrabilité des emails sur tous les domaines hébergés
• Utiliser l’Éditeur de zones DNS pour effectuer des modifications en masse sans accès SSH

Pour les environnements d’hébergement gérant plusieurs domaines clients, une configuration DNS correcte dans WHM — notamment la configuration DKIM et SPF — impacte directement la délivrabilité des emails pour tous les comptes. Cela est particulièrement pertinent lors de l’association d’un hébergement géré par WHM avec une solution d’Hébergement Email dédiée pour les communications critiques.

Comment accéder à WHM : étape par étape

Étape 1 : Rassembler les identifiants requis

Avant de tenter l’accès, confirmez que vous disposez de :

• Adresse IP ou nom d’hôte du serveur — l’adresse IPv4 (ou IPv6) publique du serveur, ou un nom d’hôte résolvable pointant vers celui-ci
• Nom d’utilisateur — `root` pour l’administrateur principal ; un nom d’utilisateur revendeur pour l’accès de niveau revendeur
• Mot de passe — le mot de passe du compte root ou revendeur
• Jeton 2FA — si l’authentification à deux facteurs est activée, ayez votre application d’authentification prête

Si vous avez provisionné un Serveur Dédié ou un VPS avec cPanel/WHM préinstallé, ces identifiants sont généralement transmis par email au moment du provisionnement ou accessibles via le panneau de contrôle d’hébergement.

Étape 2 : Choisir l’URL d’accès correcte

WHM est accessible via les formats d’URL suivants :

Accès HTTPS principal (recommandé) :

“`

https://YOUR_SERVER_IP:2087/

https://your-domain.com:2087/

“`

Accès HTTP (solution de repli, non recommandé en production) :

“`

http://YOUR_SERVER_IP:2086/

http://your-domain.com:2086/

“`

Accès par redirection (résout vers le port 2087) :

“`

https://YOUR_SERVER_IP/whm

https://your-domain.com/whm

“`

Remplacez `YOUR_SERVER_IP` par l’adresse IP réelle de votre serveur (par ex., `https://198.51.100.42:2087/`). Les URL basées sur la redirection sont pratiques mais dépendent du serveur web pour gérer correctement la redirection — utilisez les URL avec port explicite lors du dépannage.

Étape 3 : Gérer les avertissements de certificat SSL

Sur un serveur fraîchement provisionné, WHM utilise un certificat SSL auto-signé émis pour le nom d’hôte du serveur. Les navigateurs afficheront un avertissement de sécurité car ce certificat n’est pas signé par une Autorité de Certification (CA) de confiance.

Il s’agit d’un comportement attendu lors de la configuration initiale. Pour continuer :

• Chrome/Edge : Cliquez sur « Avancé » puis sur « Continuer vers [nom d’hôte] (non sécurisé) »
• Firefox : Cliquez sur « Avancé » puis sur « Accepter le risque et continuer »

Pour éliminer définitivement cet avertissement, installez un certificat SSL valide pour le nom d’hôte du serveur via la section Gérer les certificats SSL de service de WHM, ou configurez AutoSSL pour émettre un certificat Let’s Encrypt pour le nom d’hôte du serveur. Il s’agit d’une tâche de configuration unique qui doit être effectuée immédiatement après le provisionnement.

Étape 4 : S’authentifier

Sur la page de connexion WHM :

1. Saisissez votre nom d’utilisateur (`root` ou nom d’utilisateur revendeur)
2. Saisissez votre mot de passe
3. Si la 2FA est activée, saisissez le code TOTP depuis votre application d’authentification
4. Cliquez sur Se connecter

Une authentification réussie vous amène sur le tableau de bord WHM. Une authentification échouée après plusieurs tentatives déclenchera le verrouillage cPHulk s’il est activé — ce qui devrait être le cas.

Étape 5 : Naviguer dans le tableau de bord WHM

Le tableau de bord WHM est organisé en sections fonctionnelles accessibles via le panneau de navigation de gauche et la barre de recherche (qui est le moyen le plus rapide d’accéder à n’importe quel outil spécifique) :

• Fonctions de compte — créer, lister, modifier, suspendre et transférer des comptes cPanel
• Forfaits — définir et gérer les forfaits d’hébergement appliqués aux comptes
• Revendeurs — créer des comptes revendeurs, définir les permissions ACL et surveiller l’utilisation des ressources des revendeurs
• Configuration du serveur — configurer les paramètres à l’échelle du serveur, notamment le nom d’hôte, les serveurs de noms et l’email de contact
• Configuration des services — gérer les configurations d’Exim, Apache, FTP et d’autres démons
• Centre de sécurité — accéder à cPHulk, aux paramètres 2FA, à la gestion SSL et à l’intégration du pare-feu
• Gestionnaire MultiPHP — définir les versions PHP et les configurations PHP-FPM par domaine ou compte
• Configuration des sauvegardes — configurer les planifications de sauvegarde, les destinations et la rétention
• Plugins WHM — installer et gérer des plugins WHM tiers (Softaculous, Imunify360, JetBackup, etc.)

Dépannage des problèmes d’accès à WHM

Le port 2087 est inaccessible

Il s’agit de la défaillance d’accès la plus courante. Causes et résolutions :

• Pare-feu bloquant le port 2087 — vérifiez que le pare-feu du serveur (iptables, firewalld ou CSF) a le port 2087 ouvert. Exécutez `iptables -L -n | grep 2087` ou vérifiez `/etc/csf/csf.conf` de CSF pour les règles `TCP_IN`. Vérifiez également que le pare-feu externe ou le groupe de sécurité de votre fournisseur d’hébergement (le cas échéant) autorise le port 2087.
• Service cpsrvd non en cours d’exécution — WHM est servi par le démon `cpsrvd`. S’il est arrêté, aucun accès n’est possible. Redémarrez-le via SSH : `service cpsrvd restart` ou `/usr/local/cpanel/scripts/restartsrv_cpsrvd`
• L’adresse IP a changé — si l’IP du serveur a changé (par ex., après une reconfiguration réseau), mettez à jour votre URL d’accès en conséquence

Échecs d’authentification et verrouillages

• Verrouillage cPHulk — si votre IP est verrouillée par cPHulk après des tentatives de connexion échouées, ajoutez votre IP à la liste blanche via SSH : modifiez `/etc/cphulk/whitelist` ou utilisez l’API WHM. Vous pouvez également désactiver temporairement cPHulk : `whmapi1 set_cphulk_config enabled=0`
• Connexion root désactivée — certaines configurations renforcées désactivent la connexion WHM root directe. Dans ce cas, utilisez un utilisateur capable de sudo ou réactivez la connexion root via SSH et la configuration cPanel
• Mot de passe root oublié — réinitialisez via SSH en utilisant `passwd root`, ou via la console hors bande de votre fournisseur d’hébergement (IPMI/KVM) si l’accès SSH est également indisponible

Problèmes SSL et de navigateur

• Contenu mixte ou boucles de redirection — surviennent lors de l’accès à WHM via un proxy inverse ou un CDN. WHM doit être accessible directement via l’IP du serveur ou un nom d’hôte qui résout directement vers le serveur, et non via Cloudflare ou des proxies similaires
• Incompatibilité de nom d’hôte du certificat — le certificat auto-signé est émis pour le nom d’hôte configuré du serveur. Si vous accédez à WHM via une adresse IP, l’avertissement d’incompatibilité de nom d’hôte est inévitable jusqu’à l’installation d’un certificat approprié
• Cache du navigateur — les cookies de session obsolètes peuvent provoquer des boucles de redirection. Effacez les données du site spécifiquement pour l’URL WHM, ou utilisez une fenêtre privée/incognito

WHM se charge mais des fonctionnalités sont manquantes

• Restrictions ACL revendeur — si vous êtes connecté en tant que revendeur et que certaines fonctionnalités sont absentes, l’administrateur root a restreint ces fonctions via ACL. Contactez l’administrateur root pour ajuster les permissions.
• Problèmes de licence — cPanel/WHM nécessite une licence valide liée à l’adresse IP du serveur. Une licence expirée ou invalide fait entrer WHM en mode restreint. Vérifiez l’état de la licence sur `https://verify.cpanel.net/`

Liste de contrôle de renforcement de la sécurité pour WHM

Exploiter WHM sur un serveur de production sans renforcement constitue une responsabilité de sécurité significative. Appliquez ces mesures immédiatement après le provisionnement :

• Activer la 2FA pour root et tous les comptes revendeurs — Centre de sécurité WHM > Authentification à deux facteurs
• Activer cPHulk avec des seuils agressifs et ajouter vos IP administratives à la liste blanche
• Désactiver la connexion SSH root par mot de passe — utiliser exclusivement l’authentification par clé SSH
• Installer CSF/LFD et le configurer pour bloquer les scanners de ports, les tentatives de force brute et le SMTP sortant des processus non-mail
• Configurer AutoSSL pour émettre des certificats Let’s Encrypt valides pour le nom d’hôte du serveur et tous les domaines hébergés
• Restreindre l’accès au compilateur — Centre de sécurité WHM > Accès au compilateur
• Activer ModSecurity via EasyApache 4 avec un ensemble de règles réputé (OWASP CRS ou Imunify360)
• Définir une politique de mot de passe fort — Centre de sécurité WHM > Configuration de la robustesse des mots de passe
• Auditer régulièrement les ACL revendeurs — supprimer les permissions qui ne sont pas explicitement requises
• Configurer le transport de sauvegarde distant — ne jamais stocker la seule copie des sauvegardes sur le même serveur

Matrice de décision : Quand utiliser WHM vs. les alternatives

Points clés techniques

• WHM fonctionne sur le port 2087 (HTTPS) et 2086 (HTTP) ; assurez-vous que ces ports sont ouverts dans le pare-feu au niveau du système d’exploitation et dans tout pare-feu réseau en amont
• Le démon `cpsrvd` doit être en cours d’exécution pour que WHM soit accessible ; c’est la première chose à vérifier lorsque WHM est inaccessible
• Ne jamais exécuter WHM sans 2FA sur le compte root — le port 2087 est activement scanné par des bots automatisés
• AutoSSL élimine la gestion manuelle des certificats sur tous les domaines hébergés ; configurez-le immédiatement après le provisionnement
• Les ACL revendeurs sont le mécanisme principal pour déléguer l’accès administratif sans accorder le niveau root — auditez-les régulièrement
• EasyApache 4 est l’outil approprié pour la gestion des versions PHP et des extensions ; le contourner avec les gestionnaires de paquets du système d’exploitation casse la configuration du gestionnaire de cPanel
• Le transport de sauvegarde distant n’est pas optionnel en production — les sauvegardes sur serveur donnent une fausse confiance
• La capacité de clustering DNS de WHM est essentielle pour tout environnement multi-serveur nécessitant une redondance des serveurs de noms

Foire aux questions

Quelle est la différence entre WHM et cPanel ?

WHM est l’interface administrative au niveau serveur utilisée par les administrateurs root et les revendeurs pour créer et gérer des comptes cPanel, configurer les services serveur et contrôler les politiques de sécurité. cPanel est l’interface au niveau compte utilisée par les propriétaires de sites web individuels pour gérer leurs propres fichiers, bases de données, emails et domaines. WHM crée et gère les comptes cPanel ; cPanel ne peut pas gérer d’autres comptes ni les paramètres à l’échelle du serveur.

Quel port WHM utilise-t-il, et peut-il être modifié ?

WHM utilise le port 2087 pour HTTPS et le port 2086 pour HTTP par défaut. Le port est déterminé par le démon `cpsrvd` et n’est pas configurable sur un port arbitraire via l’interface WHM standard. Si le port 2087 est bloqué par un pare-feu, les URL de redirection (`/whm`) échoueront également car elles résolvent vers le même port.

WHM peut-il être accessible sans identifiants root ?

Oui. Les comptes revendeurs ont un accès WHM limité aux permissions accordées par l’administrateur root via les Listes de contrôle d’accès (ACL). Les revendeurs peuvent se connecter à WHM avec leur propre nom d’utilisateur et mot de passe et gérer uniquement les comptes cPanel sous leur propriété.

Pourquoi WHM affiche-t-il un avertissement de certificat SSL lors du premier accès ?

Par défaut, WHM utilise un certificat SSL auto-signé émis pour le nom d’hôte du serveur. Comme ce certificat n’est pas signé par une Autorité de Certification de confiance, les navigateurs affichent un avertissement de sécurité. Cela est attendu et peut être contourné en toute sécurité lors de la configuration initiale. La solution permanente consiste à installer un certificat SSL valide pour le nom d’hôte du serveur en utilisant AutoSSL de WHM ou en installant manuellement un certificat via Gérer les certificats SSL de service.

Que dois-je faire si WHM est inaccessible après un redémarrage du serveur ?

Vérifiez d’abord que le service `cpsrvd` a démarré correctement en vous connectant via SSH et en exécutant `service cpsrvd status`. S’il n’a pas démarré, vérifiez `/usr/local/cpanel/logs/error_log` pour les informations de diagnostic. Confirmez également que les règles de pare-feu pour le port 2087 ont été restaurées après le redémarrage — certaines configurations de pare-feu ne persistent pas après les redémarrages sans commandes de sauvegarde explicites (`service iptables save` ou `csf -r`).